Close

Política de correção de bugs de segurança

Para a Atlassian, é prioridade garantir que os sistemas dos clientes não sejam comprometidos explorando as vulnerabilidades nos produtos da Atlassian.


Scope

The following describes how and when we resolve security bugs in our products. It does not describe the complete disclosure or advisory process that we follow.

Correção de bug de segurança Acordo de Nível de Serviço (SLA)

Definimos os seguintes prazos para corrigir problemas de segurança nos produtos:

  • Bugs de gravidade Crítica (pontuação CVSS v2 >= 8, pontuação CVSS v3 >= 9) a ser corrigido no produto no prazo de 4 semanas do relato
  • Bugs de gravidade Alta (pontuação CVSS v2 >= 6, pontuação CVSS v3 >= 7) a ser corrigido no produto no prazo de 6 semanas do relato
  • Bugs de gravidade Média (pontuação CVSS v2 >= 3, pontuação CVSS v3 >= 4) a ser corrigido no produto no prazo de 8 semanas do relato
     

Vulnerabilidades críticas

Quando uma vulnerabilidade de segurança crítica é descoberta pela Atlassian ou relatada por terceiros, a Atlassian faz o seguinte:

  • Emite uma nova versão corrigida para a versão atual do produto afetado o mais rápido possível.
  • Emite uma nova versão de manutenção para uma versão anterior, da seguinte maneira:
     

 

Produto
Política de Backport
Exemplo

Jira Software Server e Data Center

Jira Core Server e Data Center

Jira Service Desk Server e Data Center

Lançar novas correções de bugs para:

  • Todas as versões designadas como "versão Empresarial" que não atingiram o fim da vida útil.
  • Todas as versões de recursos lançadas em até 6 meses a partir da data em que a correção foi lançada.

Por exemplo, se uma correção crítica de bug de segurança for desenvolvida em 1 de janeiro de 2020, as novas versões a seguir precisariam ser produzidas:

  • Jira 8.6.x porque o 8.6.0 foi lançado em 17 de dezembro de 2019
  • Jira 8.5.x porque o 8.5.0 foi lançado em 21 de outubro de 2019
  • Jira 8.4.x porque o 8.4.0 foi lançado em 9 de setembro de 2019
  • Jira 8.3.x porque o 8.3.0 foi lançado em 22 de julho de 2019
  • Jira 7.13.x porque o 7.13 é uma versão Empresarial e o 7.13.0 foi lançado em 28 de novembro de 2018

Confluence Server e Data Center

Lançar novas correções de bug para:

  • Versões classificadas como versão Empresarial que não atingiram o fim da vida útil.
  • Todas as versões de recursos lançadas em até 6 meses da data em que a correção foi lançada

Por exemplo, se uma correção crítica de bug de segurança for desenvolvida em 1 de janeiro de 2020, as seguintes novas versões vão ser produzidas:

  • Confluence 7.2.x porque o 7.2.0 foi lançado em 12 de dezembro de 2019
  • Confluence 7.1.x porque o 7.1.0 foi lançado em 4 de novembro de 2019
  • Confluence 7.0.x porque o 7.0.0 foi lançado em 10 de setembro de 2019
  • Confluence 6.13.x porque o 6.13 é uma versão Empresarial e o 6.13.0 foi lançado em 4 de dezembro de 2018

Bitbucket Server e Data Center

Lançar novas correções de bugs para:

  • Todas as versões designadas como "versão Empresarial" que não atingiram o fim da vida útil.
  • Todas as versões de recursos lançadas em até 6 meses a partir da data em que a correção foi lançada.

Por exemplo, se uma correção crítica de bug de segurança for desenvolvida em 1 de janeiro de 2020, as novas versões a seguir vão ser produzidas:

  • Bitbucket 6.9.x porque o 6.9.0 foi lançado em 10 de dezembro de 2019
  • Bitbucket 6.8.x porque o 6.8.0 foi lançado em 6 de novembro de 2019
  • Bitbucket 6.7.x porque o 6.7.0 foi lançado em 1 de outubro de 2019
  • Bitbucket 6.6.x porque o 6.6.0 foi lançado em 27 de agosto de 2019
  • Bitbucket 6.5.x porque o 6.5.0 foi lançado em 24 de julho de 2019

Bitbucket 6.3.0 foi lançado em 14 de maio de 2019, mais de 6 meses antes da data da correção. Se ele tivesse sido classificado uma versão Empresarial, também precisaria de correção de bug.

Todos os outros produtos (BambooCrucibleFisheye etc.)

A gente emite novas versões de correções apenas para a versão atual e a anterior.

Por exemplo, se uma correção crítica de bug de segurança for desenvolvida em 1 de janeiro de 2020 para o Bamboo, as seguintes novas versões de correções de bugs precisariam ser produzidas:

  • Bamboo 6.10.x porque foi lançado em 17 de setembro de 2019 e é a versão atual
  • Bamboo 6.9.x porque o 6.9.0 é a versão anterior
Product

Jira Software Server and Data Center

Jira Core Server and Data Center

Jira Service Desk Server and Data Center

Back port policy

Issue new bug fix releases for:

  • Any versions designated an 'Enterprise release' that have not reached end of life.
  • All feature versions released within 6 months of the date the fix is released.
Example

For example, if a critical security bug fix is developed on 1 January 2020, the following new bug fix releases would need to be produced:

  • Jira 8.6.x because 8.6.0 was released on 17 December 2019
  • Jira 8.5.x because 8.5.0 was released on 21 October 2019
  • Jira 8.4.x because 8.4.0 was released on 9 September 2019
  • Jira 8.3.x because 8.3.0 was released on 22 July 2019
  • Jira 7.13.x because 7.13 is an Enterprise release, and 7.13.0 was released on 28 November 2018
Produto

Confluence Server e Data Center

Política de Backport

Lançar novas versões de correção para:

  • Todas as versões designadas como "versão Empresarial" que não atingiram o fim da vida útil.
  • Todas as versões de recursos lançadas em até 6 meses a partir da data em que a correção foi lançada.
Exemplo

Por exemplo, se uma correção crítica de bug de segurança for desenvolvida em 1 de janeiro de 2020, as novas versões a seguir vão ser produzidas:

  • Confluence 7.2.x porque o 7.2.0 foi lançado em 12 de dezembro de 2019
  • Confluence 7.1.x porque o 7.1.0 foi lançado em 4 de novembro de 2019
  • Confluence 7.0.x porque o 7.0.0 foi lançado em 10 de setembro de 2019
  • Confluence 6.13.x porque o 6.13 é uma versão Empresarial, e o 6.13.0 foi lançado em 4 de dezembro de 2018
Produto

Bitbucket Server e Data Center

Política de Backport

Lançar novas versões de correção de bug para:

  • Todas as versões designadas como "versão Empresarial" que não atingiram o fim da vida útil.
  • Todas as versões de recursos lançadas em até 6 meses a partir da data em que a correção foi lançada.
Exemplo

Por exemplo, se uma correção crítica de bug de segurança for desenvolvida em 1 de janeiro de 2020, as novas versões a seguir vão ser produzidas:

  • Bitbucket 6.9.x porque o 6.9.0 foi lançado em 10 de dezembro de 2019
  • Bitbucket 6.8.x porque o 6.8.0 foi lançado em 6 de novembro de 2019
  • Bitbucket 6.7.x porque o 6.7.0 foi lançado em 1 de outubro de 2019
  • Bitbucket 6.6.x porque o 6.6.0 foi lançado em 27 de agosto de 2019
  • Bitbucket 6.5.x porque o 6.5.0 foi lançado em 24 de julho de 2019

O Bitbucket 6.3.0 foi lançado em 14 de maio de 2019, mais de 6 meses antes da data da correção. Se tivesse sido classificado uma versão Empresarial, uma versão de correção de bug também seria produzida.

Product

All other products (BambooCrucibleFisheye, etc)

Back port policy

We will only issue new bug fix releases for the current and previous feature release version.

Example

For example, if a critical security bug fix is developed on 1 January 2020 for Bamboo, the following new bug fix releases would need to be produced:

  • Bamboo 6.10.x because it was released on 17 September 2019 and is the current release
  • Bamboo 6.9.x because 6.9.0 is the previous release

It is important to stay on the latest bug fix release for the version of the product you are using (this is best practice). For example if you are on Jira Software 7.5.0, you should upgrade to Jira Software 7.5.3 proactively. If a new security bug fix is released, e.g. Jira Software 7.5.4, the delta between the two versions is minimal (i.e. only the security fix), making it easier to apply. 

The critical vulnerabilities resolution process does not apply to our Atlassian Cloud products as these services are always fixed by Atlassian without any additional action from customers.

Vulnerabilidades não críticas

Quando um problema de segurança de grau Alto, Médio ou Baixo for descoberto, a Atlassian vai incluir uma correção no próximo lançamento agendado. A correção também pode ser adaptada para versões Empresariais, se possível. 

Você deve atualizar as instalações quando sair uma nova versão de atualização de segurança para garantir que as últimas correções de segurança foram implementadas.

Outras informações

O nível de gravidade das vulnerabilidades é calculado com base nos níveis de gravidade dos itens de segurança.

As políticas da Atlassian são sempre avaliadas com base no retorno dos clientes, e eventuais atualizações e alterações são apresentadas nesta página. 

Perguntas frequentes

O que é uma "versão Empresarial"? Mostrar +
  

As versões Empresariais foram feitas para clientes Server e Data Center que preferem ter mais tempo de preparo para upgrades de versões com novos recursos, mas ainda precisam de correções de bugs. Certos produtos vão designar que uma versão específica seja Empresarial, o que resulta na disponibilização das atualizações de segurança dentro do período de suporte de dois anos.

O que é uma "versão de recursos"? Mostrar +
  

Versão de recursos (por exemplo, a 4.3) é aquela que contém novos recursos ou alterações importantes nos recursos em uso e que não é uma versão Empresarial.  Confira a Política de Atualização de Segurança da Atlassian para obter mais informações sobre a terminologia da versão.

Por que a cobertura das versões de recursos novos do Bitbucket, do Jira e do Confluence é de apenas seis meses? Mostrar +
  

O Bitbucket Server é lançado com frequência, por isso 6 meses contam com 5 ou 6 versões principais. Desde meados de 2017, o Jira e o Confluence têm frequência de lançamento similar e lançam versões de 5 a 6 vezes por ano

Por que outros produtos, como Bamboo e Fisheye/Crucible, recebem backport para apenas uma versão principal anterior? Mostrar +
  

O Jira, o Confluence e o Bitbucket Server são o foco do que a gente faz, mas é possível ampliar a cobertura para o Bamboo, Fisheye/Crucible e outros produtos para abranger outras versões principais se houver demanda suficiente.